Proteger WordPress con SSL y HTTPS: Guía completa

¿Te has preguntado por qué algunos sitios web muestran un candado verde en la barra de direcciones y otros no? Ese candado significa que el sitio utiliza SSL y HTTPS, dos tecnologías esenciales para la seguridad de cualquier página web, especialmente si usas WordPress.

En este artículo, te explicaré paso a paso cómo proteger tu sitio WordPress con SSL y HTTPS, desde qué son hasta cómo instalarlos y solucionar problemas comunes. No necesitas ser un experto en tecnología; solo sigue estas instrucciones y tu web estará más segura en unos minutos.

¿Qué es SSL y por qué es importante para WordPress?

SSL (Secure Sockets Layer) es un protocolo de seguridad que cifra la información que viaja entre el navegador del usuario y tu servidor. Cuando instalas SSL en WordPress, todos los datos (como contraseñas, formularios o pagos) se convierten en un código ilegible para cualquiera que intente interceptarlos.

HTTPS (Hypertext Transfer Protocol Secure) es la versión segura de HTTP. Cuando tu web usa HTTPS, los navegadores muestran un candado, lo que genera confianza en tus visitantes. Además, Google considera el HTTPS como un factor de posicionamiento SEO, por lo que tenerlo puede mejorar tu ranking en buscadores.

Beneficios clave de SSL y HTTPS en WordPress:

Cifrado de datos: Protege la información sensible de tus usuarios.
Confianza del usuario: El candado verde reduce el abandono del sitio.
Mejora del SEO: Google favorece los sitios con HTTPS.
Requisito para pagos: Si vendes productos, necesitas SSL para cumplir con normativas PCI-DSS.
Protección contra ataques: Evita la inyección de código malicioso en la comunicación.

¿Cómo saber si tu sitio WordPress ya tiene SSL?

Antes de empezar, verifica si tu web ya tiene SSL activo. Simplemente escribe tu dominio en el navegador con https:// al inicio (por ejemplo, https://tudominio.com). Si ves un candado, ¡estás listo! Si aparece un mensaje de advertencia o "No seguro", necesitas instalarlo.

También puedes revisarlo desde el panel de control de tu hosting. Si usas Syspanel (el panel de control de HestiaCP), accede a través del puerto 2106 (ejemplo: https://tuservidor:2106) y busca la sección de SSL/TLS.

Paso 1: Elige un certificado SSL para WordPress

Existen varios tipos de certificados SSL. Para la mayoría de sitios WordPress, los más comunes son:

Let's Encrypt: Gratuito, automático y válido por 90 días. Ideal para blogs, sitios pequeños o medianos. Se renueva automáticamente si lo configuras bien.
SSL de pago (DV, OV, EV): Ofrecen mayor validación y garantía. Recomendados para tiendas online o sitios que manejan datos financieros.
SSL auto-firmado: No recomendado para producción, solo para pruebas locales.

[TIP] Si tu hosting ofrece Let's Encrypt, úsalo. Es gratuito y funciona perfectamente con WordPress.

Paso 2: Instalar SSL en tu servidor (con Syspanel)

Si tu hosting usa Syspanel (HestiaCP), el proceso es muy sencillo. Sigue estos pasos:

Accede a Syspanel a través del puerto 2106 (ejemplo: https://tudominio.com:2106). Usa tu usuario y contraseña de administrador.
Ve a la sección "Web" o "Dominios". Busca el dominio de tu sitio WordPress.
Haz clic en "SSL" o "SSL/TLS Support". Verás una opción para "Let's Encrypt".
Selecciona "Activar Let's Encrypt" y elige las opciones que necesites (por ejemplo, incluir el subdominio www).
Guarda los cambios. El sistema generará automáticamente el certificado y lo instalará.

[WARNING] Asegúrate de que tu dominio apunte correctamente a los servidores de tu hosting (DNS configurado) antes de activar Let's Encrypt. Si no, la instalación fallará.

Si tu hosting no tiene Syspanel, busca en tu panel de control (cPanel, Plesk, etc.) una opción similar. La mayoría ofrece Let's Encrypt con un solo clic.

Paso 3: Configurar WordPress para usar HTTPS

Una vez instalado el SSL, debes decirle a WordPress que use HTTPS en lugar de HTTP. Hay dos formas de hacerlo:

Opción A: Desde el panel de administración de WordPress

Inicia sesión en tu WordPress (ejemplo: https://tudominio.com/wp-admin).
Ve a "Ajustes" > "Generales".
Cambia las dos URLs (Dirección de WordPress y Dirección del sitio) de http:// a https://.
Guarda los cambios. WordPress se recargará automáticamente con HTTPS.

Opción B: Editando el archivo wp-config.php (más seguro)

Si no puedes acceder al panel, edita el archivo wp-config.php desde el administrador de archivos de tu hosting o FTP. Añade estas líneas justo antes de /* That's all, stop editing! */:

define('WP_HOME', 'https://tudominio.com');
define('WP_SITEURL', 'https://tudominio.com');

Reemplaza tudominio.com con tu dominio real.

[INFO] Si tienes problemas de redirección, también puedes forzar HTTPS añadiendo esto al .htaccess (en la raíz de WordPress):

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
</IfModule>

Paso 4: Actualizar enlaces y recursos mixtos (Mixed Content)

Uno de los errores más comunes después de instalar SSL en WordPress es el "Mixed Content". Esto ocurre cuando tu web carga recursos (imágenes, CSS, JavaScript) desde URLs HTTP en lugar de HTTPS. El navegador mostrará una advertencia y el candado no aparecerá.

Cómo solucionarlo:

Usa un plugin como "Really Simple SSL" o "SSL Insecure Content Fixer". Estos plugins detectan y corrigen automáticamente los enlaces HTTP.
Revisa manualmente los enlaces en tus entradas y páginas. Busca cualquier URL que empiece con http:// y cámbiala a https://.
Actualiza la CDN si usas una (como Cloudflare). Asegúrate de que también sirva contenido por HTTPS.

[TIP] Después de instalar SSL, ve a "Ajustes > Generales" en WordPress y asegúrate de que las URLs estén en HTTPS. Luego, usa un plugin como "Better Search Replace" para cambiar todas las URLs HTTP a HTTPS en la base de datos.

Paso 5: Verificar que todo funciona correctamente

Una vez configurado, verifica que tu sitio carga correctamente con HTTPS. Puedes usar herramientas como:

SSL Labs: Analiza la configuración de tu certificado (https://www.ssllabs.com/ssltest/).
Why No Padlock: Comprueba si hay errores de contenido mixto (https://www.whynopadlock.com).
Navegador: Visita tu web y haz clic en el candado para ver los detalles.

Si ves algún error, revisa los pasos anteriores. El plugin "Really Simple SSL" suele resolver la mayoría de problemas automáticamente.

Preguntas frecuentes (FAQ) sobre SSL y HTTPS en WordPress

¿Puedo instalar SSL gratis en WordPress?

Sí, la mayoría de los hostings ofrecen Let's Encrypt de forma gratuita. Si tu hosting no lo incluye, puedes contratar un certificado SSL de pago o usar servicios como Cloudflare (que ofrece SSL gratis a través de su proxy).

¿Qué hago si mi sitio no carga después de instalar SSL?

Primero, revisa que las URLs en "Ajustes > Generales" estén en HTTPS. Si aún así no carga, borra la caché del navegador y del plugin de caché que uses. También verifica que el certificado esté bien instalado desde tu panel de control.

¿El SSL afecta el rendimiento de mi WordPress?

Mínimamente. El cifrado añade una pequeña sobrecarga, pero los servidores modernos lo manejan sin problemas. Además, el HTTPS puede mejorar la velocidad gracias a HTTP/2, que solo funciona con conexiones seguras.

¿Necesito SSL si mi sitio no vende nada?

Sí, por varias razones: mejora la confianza del usuario, protege formularios de contacto, evita que te marquen como "No seguro" en los navegadores y ayuda al SEO. Google ya penaliza los sitios sin HTTPS.

¿Cómo renovar el certificado SSL en WordPress?

Si usas Let's Encrypt con Syspanel, la renovación suele ser automática. Si no, puedes renovarlo manualmente desde el panel de control cada 90 días. Los plugins como "Really Simple SSL" también gestionan renovaciones.

Consejos finales para mantener tu WordPress seguro con SSL

Mantén todo actualizado: WordPress, temas y plugins deben estar en su última versión para evitar vulnerabilidades.
Usa contraseñas seguras: Tanto para el acceso a WordPress como para el panel de control (Syspanel).
Haz copias de seguridad: Antes de instalar SSL, realiza un backup completo de tu sitio.
Revisa periódicamente tu certificado: Asegúrate de que no esté caducado.

Proteger tu sitio WordPress con SSL y HTTPS no solo es una buena práctica de ciberseguridad, sino que también mejora la experiencia de tus visitantes y tu posicionamiento en buscadores. Sigue estos pasos y tendrás un sitio más seguro y confiable en poco tiempo.

[WARNING] Si tienes dudas técnicas, consulta con el soporte de tu hosting. No intentes modificar archivos del servidor si no estás seguro, ya que podrías romper tu sitio.

¡Ahora ya sabes cómo hacerlo! Ponlo en práctica y disfruta de un WordPress más seguro.